Introduksjon: Fremveksten av GitHub-spill og risikoene bak moroa
Hvis du noen gang har søkt etter GitHub-spill, har du sannsynligvis kommet over alt fra nettleserbaserte skytespill til retrokloner bygget med JavaScript eller Python. Disse prosjektene er morsomme å prøve, enkle å kjøre, og dukker ofte opp i YouTube-opplæringer eller -forum. Som et resultat har de blitt spesielt populære på skoler, der utviklere og elever ofte får tilgang til dem gjennom GitHub-avblokkerte spill eller gafle dem fra GitHub io-spill sider.
På grunn av denne populariteten kloner både utviklere og studenter disse repoene, kjører koden og går videre uten mye tankevirksomhet. Men her er problemet: ikke alle disse spillene er hva de ser ut til å være.
Noen spillrepositorier kjører tvilsomme installasjonsskript. Andre henter inn utdaterte eller sårbare avhengigheter. Noen skjuler til og med skadelig programvare i ressurser, containere eller distribusjonsfiler. Siden mange utviklere er vert for disse prosjektene gjennom GitHub io-spill, risikoen sprer seg raskt og går ofte ubemerket hen.
I dette innlegget skal vi utforske hvordan spillrepoer kan bli en alvorlig sikkerhetstrussel. Vi viser deg også hvordan du kan holde deg trygg uten å gi opp nysgjerrigheten eller ... CI/CD.
Hvorfor angripere retter seg mot GitHub-spill og ublokkerte arkiver
Ved første øyekast virker spillrepositorier på GitHub harmløse. Tross alt er de ofte små eksperimenter eller utdanningsprosjekter bygget for moro skyld. Angripere ser imidlertid annerledes på disse. I virkeligheten er mange slike Repositorier utnyttes som plattformer for levering av skadelig programvare, ofte forkledd som GitHub-spill or GitHub-spill uten blokkering.
For eksempel en trusselaktør kjent som Stargazer Goblin driver et nettverk av over 3,000 spøkelses-GitHub-kontoer, kalt «Stargazers Ghost Network». Denne gruppen stjernemarkerer, forker og overvåker bevisst ondsinnede arkiver for å øke synligheten og legitimiteten sin, og retter seg vanligvis mot brukere som søker etter verktøy eller spilljuksekoder. Disse arkivene har blitt brukt til å distribuere informasjonstyvere og løsepengevirus som Atlantida Stealer, Rhadamanthys, Lumma Stealer og RedLine.
Dessuten en annen sofistikert kampanje kalt Vannforbannelse har bevæpnet minst 76 GitHub-kontoer, og bygger inn flertrinns skadelig programvare i det som ser ut til å være legitime verktøy. Nyttelastene er skjult i Visual Studio-prosjektfiler (PreBuildEvent), og distribuerer obfuskerte skript og Electron-baserte binærfiler for påloggingstyveri, utvinning av nettleserdata og langsiktig persistens. Målene inkluderer utviklere, DevOps-team og spillskapere.
Angripere utnytter det faktum at mange utviklere kloner GitHub-spill for å teste eller lære av dem uten å gjennomgå koden. På samme måte kan GitHub io-spill, repositorier servert via GitHub Pages, være vert for skadelig JavaScript, bilder eller omdirigeringsskript som kjøres når de lastes inn i en nettleser. Siden mange GitHub io-spill forkes og gjenbrukes uten grundig inspeksjon, bruker angripere dem til å smugle obfuskert kode, skjulte sporere eller laste ned triggere. Disse taktikkene utnytter tilliten utviklere har til åpen kildekode-prosjekter.
Kort sagt, populariteten til spillrepositorier og prosjekter for ublokkert spilling gjør dem til grobunn for angripere. Uten skikkelig screening kan en nysgjerrig utvikler introdusere skadelig programvare i miljøet sitt ganske enkelt ved å klone eller være vert for et spillrepositori.
Vil du sikre alle GitHub-prosjektene dine?
Hvis du lurer på hvordan du beskytter GitHub-repoene dine utover spillmodifikasjoner, ikke gå glipp av vårt dyptgående innlegg om tillatelser, pull requests, CI/CD integrasjon og mer.
Mønstre av skadelig programvare i ublokkerte GitHub-spill og GitHub IO-spill
Når utviklere utforsker prosjekter merket som github unblocked games, mange virker harmløse. Imidlertid avslører flere tilbakevendende mønstre alvorlige trusler som lett kan overses.
Kampanje: Vannforbannelse
Trend Micro avdekket en kampanje kalt Vannforbannelse, hvor minst 76 GitHub-kontoer vertsbaserte våpenlagre som utgir seg for å være utviklerverktøy eller spillmodifikasjoner. Disse lagrene legger inn skadelige nyttelaster ved hjelp av <PreBuildEvent> tagger i Visual Studio-prosjektfiler. Under bygging laster obfuskerte PowerShell- eller VBS-skript ned krypterte ZIP-arkiver, installerer Electron-baserte binærfiler og eksfiltrerer legitimasjonsinformasjon, nettleserdata og økttokener. Skadevaren implementerer også persistens via planlagte oppgaver og registerendringer.
Pseudokode i GitHub-spill: Hook
<PropertyGroup>
<PreBuildEvent>
powershell -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "download ZIP from GitHub → extract payload → run installer"
</PreBuildEvent>
</PropertyGroup>
Pseudokode: Obfuskert PowerShell-kjøring
# decode base64 payload
payload = decode_base64('...')
# run in memory
execute_in_memory(payload)
Dette forenklede eksemplet viser hvordan ondsinnet kode unngår diskskrivinger ved å dekode og kjøre direkte i minnet.
Kampanje: Vannforbannelse
Trend Micro identifiserte en trusseloperasjon kjent som Vannforbannelse, hvor angriperne brukte minst 76 GitHub-kontoer å være vert for våpenbaserte arkiver. Disse prosjektene så ut til å være utviklerverktøy eller spillmodifikasjoner. Internt innebygde de ondsinnet logikk i byggefiler, spesielt gjennom <PreBuildEvent> tag i Visual Studio .csproj filer.
Nyttelastene inkluderte flertrinnsskript som lastet ned krypterte ZIP-filer, pakket ut filer og kjørte bakdører. I tillegg la angriperne til persistensmekanismer ved hjelp av redigeringer i Windows-registeret og planlagte oppgaver.
Eksempel på pseudokode: Visual Studio Build Hook
<PropertyGroup>
<PreBuildEvent>
powershell -Command "download ZIP from GitHub, extract payload, and run installer"
</PreBuildEvent>
</PropertyGroup>
Pseudokode: Utførelse i minnet via PowerShell
# Decode and run base64 payload in memory
payload = decode_base64('...')
execute_in_memory(payload)
Denne teknikken unngår skriving til disk, noe som hjelper angripere med å omgå antivirusdeteksjon og oppnå skjult beskyttelse.
Kampanje: Stjernekikkersnisse og spøkelseskontoer
Et annet storstilt angrep ble dokumentert av Check Point Research, som avslørte at Stjernetitternes spøkelsesnettverkDenne kampanjen brukte over 3,000 falske GitHub-kontoer å blåse opp stjerner, gafler og observatører på ondsinnede databaser. Målet var å skape en falsk følelse av legitimitet.
Disse spøkelseskontoene bidro til å promotere skadelig programvare som Atlantida Stealer, luma, Rhadamanthysog Rød linje, hovedsakelig rettet mot utviklere og spillere. På bare fire dager infiserte én angrepsbølge mer enn 1,300 ofre ved å spre modifiserte spillmodpakker gjennom Discord- og README-lenker.
Eksempel på pseudokode: Ondsinnet README-fil
# Ultimate Game Mod Pack 🕹️
Download and run the installer here:
[Download Now](https://github[dot]com/ghost/repo/releases/latest/modpack.zip)
Vanlige mønstre av skadelig programvare i GitHub-spillrepositorier
| Pattern | Tekniske beskrivelser |
|---|---|
| Forhåndsinstaller / Bygg skript | Skript som kjører automatisk under installasjon eller bygging for å hente og kjøre eksterne nyttelaster, ofte uten at brukeren er klar over det. |
| Typosquatting og falske gafler | Ondsinnede prosjekter som etterligner navnene eller strukturen til populære verktøy eller spillrepositorier for å lure utviklere til å installere dem. |
| Misbruk av GitHub-sider | JavaScript, bilder eller omdirigeringer skjult på sider for `github io games` som utløser kjøring av ondsinnede skript ved sideinnlasting. |
| Falske popularitetssignaler | Spøkelseskontoer blåser kunstig opp stjerner, gafler og overvåkere for å få ondsinnede arkiver til å virke troverdige. |
Disse teknikkene er ikke teoretiske. De har allerede blitt observert i virkeligheten. malware kampanjer, hvorav mange rettet seg mot utviklere som brukte spillrepositorier som inngangspunkter.
Heldigvis kan noen sikkerhetsplattformer fange opp disse mønstrene før de forårsaker skade. I neste avsnitt viser vi hvordan Xygeni oppdager, blokkerer og utbedrer disse truslene på tvers av SDLC.
Hvordan Xygeni sikrer GitHub-spill, ublokkerte prosjekter og CI/CD Pipelines
Når risikable mønstre i GitHub-spillrepositorier dukker opp, tilbyr Xygeni et fullstakkforsvar for å stoppe trusler før de kompromitterer systemene eller forsyningskjeden din.
1. Tidlig advarsel: Sanntidsdeteksjon av skadelig programvare i GitHub-spill og -avhengigheter
Xygeni skanner kontinuerlig nye pakker på tvers av NPM, Maven, PyPI og mer. Dette inkluderer pakker innebygd på uventede steder, for eksempel spillrepoer eller ublokkerte spillprosjekter på GitHub som deles på tvers av forum eller skolenettverk. Hvis en mistenkelig komponent blir funnet, setter Xygeni den automatisk i karantene, blokkerer bruken i avhengighetene dine og sender sanntidsvarsler til teamet ditt. Dette forhindrer at ondsinnede nyttelaster kommer inn i kodebasen din eller CI/CD pipeline.
2. Tilgjengelighetsbevisst SCA med intelligent prioritering
I stedet for å overvelde teamet ditt med varsler, Xygeni evaluerer om en sårbarhet faktisk brukes i koden din (tilgjengelighet) og inkluderer risikovurdering (EPSS, forretningsmessig innvirkning) for å avdekke de viktigste problemene. Dette reduserer støy betydelig og sikrer at teamet ditt handler med det som virkelig betyr noe.
3. Automatisert utbedring ved bruk av Pull Requests
Når en sårbarhet eller ondsinnet avhengighet oppdages med en kjent løsning, oppretter Xygeni automatisk en Pull Request å oppgradere eller fikse problemet. Dette øker responstiden, begrenser manuelt arbeid og holder pipeline sikre.
4. CI/CD Sikkerhetskontroller for å blokkere skadelige bygg
Xygeni integreres med build pipelines via GitHub-handlinger, Jenkins, GitLab, Azure Pipelines og andre. Den skanner byggeskript, Dockerfiler og CI/CD konfigurasjoner for mistenkelige kommandoer, for eksempel reverse shells eller installasjonsskript, og kan blokkere bygg hvis farlig kode oppdages.
5. Bygg integritet via SLSA-kompatible attester
Ocuco Build Security modulen oppretter signerte attester i henhold til SLSA og in-toto standards, innebygging av metadata på kilde, avhengigheter, SBOM, og tester. Hvis det oppstår uautoriserte endringer, mislykkes attesteringsvalideringen, og pipeline stopper automatisk.
6. Anomalideteksjon i SCM og CI-artefakter
Xygeni overvåker kildekoden og CI-miljøene dine kontinuerlig for å oppdage uvanlig oppførsel, som for eksempel commits omgåelse av grenbeskyttelse, ukjente brukere eller uventede tokentildelinger. Kombinert med dens SAST motoren, identifiserer den skjulte bakdører eller injiserte skript før sammenslåing eller distribusjon.
7. Automatisert aktivaoppdagelse og ASPM Synlighet
Xygeni bygger en live lagerbeholdning av hele din SDLC økosystem, inkludert arkiver, samarbeidspartnere, pipelines, avhengigheter og skyinfrastruktur. Denne synligheten muliggjør dynamisk risikoprioritering, samsvarskartlegging (f.eks. NIS2, DORA) og revisjonsklar bevis uten å forstyrre eksisterende arbeidsflyter.
Hva GitHub-spill betyr for sikre utviklere: Vær nysgjerrig, vær trygg
- Hvis et repo inneholder et skjult byggeskript som laster ned skadelig kode (f.eks. et PowerShell-skript etter installasjon), vil Xygeni flagge og blokkere det før kjøring.
- Når kode som refererer til en mistenkelig avhengighet slås sammen, blokkerer Xygeni den og tilbyr en automatisk rettelse via Pull Request.
- Hvis et GitHub Pages-vertsprosjekt inneholder skjulte, ondsinnede skript, Xygenis SCA og deteksjon av skadelig programvare identifiserer dem selv om de bare kjøres under sideinnlasting.
- Bygge pipelines vil avvise commithvis byggete artefakter eller konfigurasjoner ikke består attestasjonskontroller, noe som hindrer kompromitterte bygg i å noen gang nå produksjon.
Med Xygeni kan du fortsette å oppdage og prøve ut github-spill med trygghet. Hvert trinn, fra kloning til utrulling, er ivaretatt. Utviklere forblir nysgjerrige, pipelines forblir sikre, og forsyningskjeden din forblir ren.
